办公室小李上周把家里NAS的开放端口映射到了公网，就为在外出差时能随时翻照片。外网第三天，映射他收到宽带运营商的端口通知——家里IP已被境外IP持续扫描，且触发了入侵检测告警。风险小李这事不算罕见，协议我见过太多人把“端口映射”和“开个门”划等号，开放可这门一开，外网进来的映射未必只有你。
外网映射的端口本质，是风险把你内网的一扇门直接焊在公网墙上。你以为只开了80端口看监控，协议实际上扫描器几秒钟就能发现你这扇门，开放然后像推销员一样挨个试你家的外网锁——445、3389、映射22，一个都不放过。我认识的一位运维朋友做过实验：把一台空白的Linux服务器映射出去，仅过了四十分钟，日志里就出现了来自俄罗斯、巴西的暴力破解记录。别指望密码能挡住所有试探，弱口令字典的攻击速度远超你换密码的手速。
风险不止于暴力破解。你映射的是服务，但服务背后往往连着整个内网。家用路由器、NAS、摄像头，这些设备的固件漏洞更新频率低得可怜。攻击者一旦利用某个已知漏洞拿下映射的服务，下一步就是横向移动。你以为只暴露了一个端口，实际上等于把内网所有设备的信任关系都摆在了赌桌上。前阵子某小区住户的智能门锁被远程开锁，事后排查发现，就是因为他把门锁的调试端口映射到了公网，厂商的默认密钥还没改。
那些说“我只开给朋友用”的人，忽略了公网是没记性的。IP会被扫描，端口会被枚举，你的“临时开放”在攻击者眼里就是长期入口。哪怕你用完就关，扫描器已经把IP和端口记录在案，下次再开，人家直接按图索骥。更麻烦的是，很多家用路由器压根没有访问控制列表，你开了端口就等于对所有IP开放，连“只允许特定IP访问”这种基础功能都未必支持。
有人图省事，直接映射到Windows远程桌面。这简直是把家门钥匙挂在门口垫子下。3389端口在公网上的被攻击频率常年排前三，RDP漏洞几乎每年都有新的利用链。我见过一家小公司，老板为了在家连公司电脑，把3389直接映射出去，结果中了勒索病毒，整个公司财务数据被加密，最后交了比特币才拿回密钥——这笔钱够他买三台专业VPN设备。
那是不是完全不能映射？也不是。但至少得有几条底线：第一，映射的端口别用默认端口号，哪怕换个高位端口也能过滤掉八成无差别扫描；第二，服务本身必须强认证，别用出厂默认口令；第三，能映射单端口就别映射整个网段，能走VPN就走VPN。如果你连这些配置都不清楚，那就别碰映射功能——用现成的内网穿透工具，至少人家还帮你做了层身份验证。
说到底，开放外网映射是拿内网安全做赌注。你赌的是攻击者不会盯上你，可攻击者赌的是总有人不设防。小李后来把映射关了，换了台带DDNS的旧手机做远程访问，虽然画质差点，但至少睡个安稳觉。有些门，还是关着好。